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(57) Abstract: The invention relates to a method for automatically classifying a set of alarms emitted by intrusion detecting sensors 
(11a, lib, 11c) of an information security system (1) for producing synthetic alarms, wherein each alarm is defined by a plurality 
of qualitative attributes (a!, ,3,,) allocated to a plurality of attribute ranges (Al, , A„) consisting in organising the attributes allocated 
to each attribute range in to a multilevel hierarchical structure, constructing for each alarm emitted by intrusion detecting sensors 
(11a, lib, 11c) a grating intrinsic to said alarm by generalising each alarm according to each attribute thereof and to all levels of 
the hierarchical structure, iteratively merging each intrinsic grating in a general grating, identifying, in a general grating, synthetic 
alarms by selecting the alarms which are simultaneously the most relevant and most general and in transmitting said synthetic alarms 
to the output unit (23) of an alarm managing system (13). 



S (57) Abrege : Llnvention concerne un proc£d6 de classification automatique d'un ensemble d'alertes issues de sondes de detection 
d'intrusions (11a, lib, 11c) d'un systeme de securite* d'information (1) pour produire des alertes synth&iques, chaque alerte 6tant 
O d£finie par une plurality d'attributs qualitatifs 
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(al,...,an appartenant a une plurality de doraaines d'attributs (Al,...,An) comportant les Stapes suivantes : -organiser les attributs 
appartenant a chaque domaine d'attribut en une structure Werarchique comportant plusieurs rriveanx ; <onstnrire pour chaque alerte 
issue des sondes de detection d'intrusions (1 la, 1 lb, 1 lc\ un treillis propre a cette alerte en generalisant chaque alerte selon chacun 
de ses attributs et a tous les niveanx de la structure ruerarchique ; -fusionner de facon iterative dans un treillis general, chacun des 
treillis propres ; -identifier dans le treillis general, les alertes synthdtiques en selectionnant les alertes qui sont a la fois les plus 
pertinentes et les plus generates ; et -produire les alertes synttetiques a une unite* de sortie (23) d'un systeme de gestion d'alertes (13). 



